remcos | 02499e35a4c7f0cd87c60a05ea4013fedf5c6832841fa7467b6dc1f8828e8625

General

Target

OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe
Size

1023.9MB
MD5

ba2e773cd0a1a5c4dc596feeaf5af8ff
SHA1

9a40d52553d84beb3e99a04c8f2256edde6e8fc1
SHA256

c46852f35f00af54166b854f90f8ff080acddd83214788f0f7c95e036e2c5e0e
SHA512

db537dd1ab3454811a86140400cd6def061d6b7bcfafbe34188089791766b5aaa0c64f97484f75bcdea920183f08af7359b0ce5e5335b83c2c3eb0f0600672cd
SSDEEP

12288:Ax+UJLtMI05GWvOU7iTsP0ER4DP3jUO4iiyYSY5T7MRzsK:b6LtMBkW2pTRzUVpPSOTgJJ

Score

10^/10

remcos pull rat

Malware Config

Extracted

Family

remcos

Botnet

PULL

C2

fdvijkrfdsojnlmrfsdojnlmfrdvcj.con-ip.com:1997

Attributes

audio_folder
MicRecords
audio_record_time
5
connect_delay
0
connect_interval
1
copy_file
remcos.exe
copy_folder
Remcos
delete_file
false
hide_file
false
hide_keylog_file
false
install_flag
false
keylog_crypt
false
keylog_file
logs.dat
keylog_flag
false
keylog_folder
remcos
mouse_option
false
mutex
Rmc-H54XLO
screenshot_crypt
false
screenshot_flag
false
screenshot_folder
Screenshots
screenshot_path
%AppData%
screenshot_time
10
take_screenshot_option
false
take_screenshot_time
5

Signatures

Remcos
Remcos is a closed-source remote control and surveillance software.
rat remcos
Suspicious use of SetThreadContext 1 IoCs

Processes:

OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe

description pid process target process

PID 1444 set thread context of 1396 1444 OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe csc.exe
Program crash 1 IoCs

Processes:

WerFault.exe

pid pid_target process target process

4996 1396 WerFault.exe csc.exe
Creates scheduled task(s) 1 TTPs 1 IoCs
Schtasks is often used by malware for persistence or to perform post-infection execution.
persistence

Scheduled Task/Job
T1053

Processes:

schtasks.exe

pid process

1016 schtasks.exe

description	pid	process	target process
PID 1444 set thread context of 1396	1444	OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe	csc.exe

pid	pid_target	process	target process
4996	1396	WerFault.exe	csc.exe

pid	process
1016	schtasks.exe

Suspicious use of WriteProcessMemory 24 IoCs

Processes:

OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.execmd.exe

description	pid	process	target process
PID 1444 wrote to memory of 1396	1444	OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe	csc.exe
PID 1444 wrote to memory of 1396	1444	OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe	csc.exe
PID 1444 wrote to memory of 1396	1444	OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe	csc.exe
PID 1444 wrote to memory of 1396	1444	OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe	csc.exe
PID 1444 wrote to memory of 1396	1444	OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe	csc.exe
PID 1444 wrote to memory of 1396	1444	OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe	csc.exe
PID 1444 wrote to memory of 1396	1444	OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe	csc.exe
PID 1444 wrote to memory of 1396	1444	OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe	csc.exe
PID 1444 wrote to memory of 1396	1444	OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe	csc.exe
PID 1444 wrote to memory of 1396	1444	OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe	csc.exe
PID 1444 wrote to memory of 1396	1444	OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe	csc.exe
PID 1444 wrote to memory of 1396	1444	OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe	csc.exe
PID 1444 wrote to memory of 1416	1444	OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe	cmd.exe
PID 1444 wrote to memory of 1416	1444	OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe	cmd.exe
PID 1444 wrote to memory of 1416	1444	OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe	cmd.exe
PID 1444 wrote to memory of 180	1444	OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe	cmd.exe
PID 1444 wrote to memory of 180	1444	OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe	cmd.exe
PID 1444 wrote to memory of 180	1444	OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe	cmd.exe
PID 1444 wrote to memory of 3996	1444	OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe	cmd.exe
PID 1444 wrote to memory of 3996	1444	OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe	cmd.exe
PID 1444 wrote to memory of 3996	1444	OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe	cmd.exe
PID 180 wrote to memory of 1016	180	cmd.exe	schtasks.exe
PID 180 wrote to memory of 1016	180	cmd.exe	schtasks.exe
PID 180 wrote to memory of 1016	180	cmd.exe	schtasks.exe

C:\Users\Admin\AppData\Local\Temp\OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe
"C:\Users\Admin\AppData\Local\Temp\OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe"
1⤵
- Suspicious use of SetThreadContext
- Suspicious use of WriteProcessMemory
PID:1444
- C:\Windows\Microsoft.NET\Framework\v4.0.30319\csc.exe
  "C:\Windows\Microsoft.NET\Framework\v4.0.30319\csc.exe"
  2⤵
  PID:1396
- - C:\Windows\SysWOW64\WerFault.exe
    C:\Windows\SysWOW64\WerFault.exe -u -p 1396 -s 512
    3⤵
    - Program crash
    PID:4996
- C:\Windows\SysWOW64\cmd.exe
  "cmd" /c mkdir "C:\Users\Admin\AppData\Roaming\AppData"
  2⤵
  PID:1416
- C:\Windows\SysWOW64\cmd.exe
  "cmd" /c copy "C:\Users\Admin\AppData\Local\Temp\OFICIO Y DETALLE DE ACTUACIÓN JUDICIAL RAD.563213.exe" "C:\Users\Admin\AppData\Roaming\AppData\AppData.exe"
  2⤵
  PID:3996
- C:\Windows\SysWOW64\cmd.exe
  "cmd" /c schtasks /create /sc minute /mo 10 /tn "Nano" /tr "'C:\Users\Admin\AppData\Roaming\AppData\AppData.exe'" /f
  2⤵
  - Suspicious use of WriteProcessMemory
  PID:180
- - C:\Windows\SysWOW64\schtasks.exe
    schtasks /create /sc minute /mo 10 /tn "Nano" /tr "'C:\Users\Admin\AppData\Roaming\AppData\AppData.exe'" /f
    3⤵
    - Creates scheduled task(s)
    PID:1016

C:\Windows\SysWOW64\WerFault.exe
C:\Windows\SysWOW64\WerFault.exe -pss -s 424 -p 1396 -ip 1396
1⤵
PID:3776

Network

MITRE ATT&CK Enterprise v15

Reconnaissance

Resource Development

Initial Access

Execution

Scheduled Task/Job

1

T1053

Persistence

Scheduled Task/Job

1

T1053

Privilege Escalation

Scheduled Task/Job

1

T1053

Defense Evasion

Credential Access

Discovery

Lateral Movement

Collection

Command and Control

Exfiltration

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

memory/1396-5-0x0000000000620000-0x00000000006A2000-memory.dmp

Filesize
520KB

Download
memory/1396-10-0x0000000000620000-0x00000000006A2000-memory.dmp

Filesize
520KB

Download
memory/1396-16-0x0000000000620000-0x00000000006A2000-memory.dmp

Filesize
520KB

Download
memory/1444-0-0x00000000000E0000-0x0000000000188000-memory.dmp

Filesize
672KB

Download
memory/1444-1-0x0000000075280000-0x0000000075A30000-memory.dmp

Filesize
7.7MB

Download
memory/1444-2-0x0000000004A40000-0x0000000004A50000-memory.dmp

Filesize
64KB

Download
memory/1444-3-0x00000000049B0000-0x0000000004A2E000-memory.dmp

Filesize
504KB

Download
memory/1444-17-0x0000000075280000-0x0000000075A30000-memory.dmp

Filesize
7.7MB

Download

Analysis

Sharing

General

Malware Config

Extracted

Signatures

Processes

Network

MITRE ATT&CK Enterprise v15

Replay Monitor

Loading Replay Monitor...

Downloads